phpBB.de

Hallo Leute!

Ich hab seit ungefähr 2 Jahren ein phpBB Forum am laufen und bin auch recht zufrieden damit. Allerdings hat sich grad heute etwas ergeben was mich stutzig macht.

Eines unserer Vereinsmitglieder hat ein email von jemandem erhalten der in einem Post von ihm nicht so gut weg gekommen ist und der ihm einen Auszug des Posts zugeschickt hat. Das er da was gesagt hat ist seine eigene Schuld, NUR ... wer kam an den Post.

Intern kann es niemand sein, alle Vereinsmitglieder haben Zugang zu den internen Foren, sonst niemand.

Wer hatte also Zugriff zu die Posts?

nun habe ich mehrere Fragen:

1. Kann ich mir irgendwie eine Liste machen wer alles Administrator/Modrechte hat?

2. Gibt es einen Mod mit dem ich logen kann wer ein Forum besucht hat (dürften ja in den internen nur unsere Jungs sein)

3. Wie schwer ist es Accounts bei phpBB zu knacken, wie schätzt ihr da die SIcherheit ein? Gibt es einen Schutz dagegen?

4. Kennt jemand noch eine akute Sicherheitslücke?

Die Forumsversion weis ich nicht auswendig, ist schon wieder ein paar Monate her das ich upgedatet habe aber halt auch nicht uralt.

danke schonmal für die Mühe ...
bin ein wenig am Sand

servus
flo

Prison hat geschrieben:Die Forumsversion weis ich nicht auswendig, ist schon wieder ein paar Monate her das ich upgedatet habe aber halt auch nicht uralt.

Hallo,
das aktuelle und sichere phpBB ist die Version 2.0.19 und auf diese solltest Du schnellstens updaten.

Wie das geht ist in der >>> Update-Hilfe <<< beschrieben.

Sofern Du das nicht erledigst kann Du Dich sicher bald >>> KB:134 <<< beschäftigen !

das sind schonmal zwei ziemlcih gute Anhaltspunkte!! Danke!

... wem sonst noch was einfällt bitte posten

ok, hab dank deiner Hilfe gleich was gefunden.

ich habe in der Datenbank nachgesehen wer Adminrechte hat und habe da 2 unberechtigte User gefunden.

Welche Möglichkeiten habe ich jetzt zurück zu verfolgen wer der Bsesitzer diese User ist?

Na da wo user_level 1 steht guckts du in der gleichen Zeile weiter vorn wie der Username lautet....

ja, das war logisch *g*

die User haben nie gepostet, aber immer wieder mal reingeschaut. Dadurch das sie nie gepostet haben kann ich aber auch keine IPs einsehen ... ziemlicher Mist. Noch eine Idee?

(einen User habe ich noch in anderen Foren gefunden, da hat er auch gepostet und durch einen Sprachlichen Wortlaut kann ich ihn vielleicht einem Gebiet zuordnen, das wars aber auch schon)